「イエローハットを利用したことがあるけれど、自分も対象？」「パスワードが漏れたと聞いて心配」。今回の続報では、まず対象になった情報と、パスワードについての会社の説明を分けて確認したいところです。
カー用品店のイエローハットは2026年10月15日、WEB作業予約システムへの不正アクセスに関する第二報を公表。会員179万7,124人分の情報が外部へ流出したことを確認しました。8月公表の事案について調査結果がまとまったもので、10月に新たな攻撃が発生したという発表ではありません。［1］
パスワードも対象に含まれますが、同社は「復元できない状態」で保管していたと説明しています。この記事では、初報から変わった点と、利用者が今確認することを整理します。
情報確認日：2026年10月16日。公式発表に基づく事実と、当サイトからの一般的な予防策を区別して記載しています。
今、何が気になっていますか？
| 気になること | 先に確認する場所 |
|---|---|
| 自分も流出の対象？ | 対象者と通知の確認 |
| パスワードを変えた方がよい？ | パスワードについて分かっていること |
| クレジットカードも漏れた？ | カード情報への影響 |
| イエローハットを名乗るメールが届いた | 不審な連絡への対応 |
8月の初報から何が変わった？
第二報のポイントは、情報流出が「可能性」から「確認」に変わったことです。人数だけでなく、対象項目の説明も更新されています。［1］［2］
| 確認点 | 8月28日・初報 | 10月15日・第二報 |
|---|---|---|
| 流出の状況 | 漏えいの可能性 | 外部流出を確認 |
| 人数 | 最大180万1,499人分 | 179万7,124人分 |
| 氏名・電話番号・メールアドレス・会員番号 | 対象として公表 | 流出対象 |
| 住所・生年月日・性別・ログインID | 対象項目として記載なし | 追加で流出を確認 |
| パスワード | 保持していないため漏えいなしと説明 | 復元できない状態の情報が対象 |
初報だけを読んで「パスワードは対象外」と認識していた方は、この変更を確認してください。ただし、普段入力するパスワードの文字列が、そのまま流出したと発表されたわけではありません。
自分も対象？通知が見当たらない場合は
第二報が示す対象はイエローハット会員の179万7,124人分です。「店舗で買い物をしたことがある人全員」や「WEB予約を使った人全員」とは書かれていません。購入や予約の経験だけで、個人の該当・非該当を判断することはできません。
同社は対象者へのWEB・メール・書面・電話などによる案内とお詫びを完了したとしています。通知を探しても見つからず、自分が対象か分からない場合は、専用相談窓口で確認してください。通知が見当たらないという理由だけで、対象外と決めつけない方が確実です。［1］
イエローハット専用相談窓口：0120-405-092
受付時間：平日10:00〜19:00（10月15日付第二報の案内）
パスワードも対象。「復元できない状態」とは？
同社は、流出対象のパスワードについて、復元できない状態で保管しており、この情報によるアカウントの不正利用のおそれはないと説明しています。これは同社が公表した調査結果に基づく説明です。［1］
具体的な保存方式や処理方法は、第二報には記載されておらず、どのような仕組みで保護されていたかは分かりません。
他のサービスと同じパスワードを使っている方へ：一般的な予防策として、サービスごとに異なるパスワードに見直すことをおすすめします。変更する場合は、受信したメールのリンクではなく、自分で開いた公式サイトや普段使っている正規アプリから操作してください。
この予防策は、本件で他のサービスへの不正ログインが確認されたという意味ではありません。また、第二報には全会員を対象とするパスワード強制リセットの案内は記載されていません。
クレジットカード情報は漏れた？
同社は、対象システムではカード情報を保持・取り扱いしておらず、店頭やECサイトの決済も外部システムを利用しているため、クレジットカード情報の漏えいはないと説明しています。［1］
今回の発表だけを理由に、全員がカードを再発行する必要があるとは案内されていません。もし身に覚えのない請求があれば、本件との関係を自己判断せず、カード裏面や正規アプリからカード会社へ確認してください。
メール・SMSで「会員情報の確認」を求められたら
同社は、不審なメールやSMSのリンクへアクセスしたり、添付ファイルを開いたりしないよう注意を呼びかけています。［1］
一般的な注意点として、相手が自分の名前や電話番号を知っていても、それだけでは正規の連絡だと確認できません。「会員情報を確認してください」「予約の手続きをやり直してください」といった連絡でも、入力を急がず、公式窓口から確かめてください。これらは注意すべき例であり、本件で実際に確認された詐欺メールを示すものではありません。
もしリンク先でパスワードを入力してしまった場合は、そこでの操作をやめ、自分で開き直した正規のサービスで変更してください。同じパスワードを使っているサービスも見直します。カード情報まで入力した場合は、カード会社への連絡を優先してください。
予約システムは再開している？
第二報によると、対象システムは遮断・停止後、セキュリティ強化や改修を行って稼働を再開しています。対策の有効性は第三者調査機関も検証し、今後は定期的な脆弱性診断を続ける方針です。［1］
なお、不正アクセスの検知日は、初報が「8月18日朝」、第二報が「8月19日」と異なります。資料内に違いの理由は記載されていないため、本記事ではどちらか一方を確定日として扱っていません。［2］［1］
まずは対象の確認と、不審な連絡への警戒を
今回の続報を受けて確認したいのは、対象者への通知と、初報から更新された情報です。自分が対象か分からなければ専用窓口へ。メールやSMSで何らかの手続きを求められても、その場で入力せず、公式サイトや窓口から確かめるようにしてください。
出典・公式発表
［1］株式会社イエローハット：個人情報漏えいに関するお詫びとお知らせ【第二報】（2026年10月15日、適時開示PDF）
［2］株式会社イエローハット：個人情報漏えいの可能性に関するお詫びとお知らせ（2026年8月28日、適時開示PDF）
